SÄKERHETS- OCH INTEGRITETSSKYDDSNÄMNDEN Uttalande med beslut 2016-02-17 Dnr 50-2015 Säkerhetspolisens behandling av personuppgifter om barn i ett it-system för bearbetning och analys 1. SAMMANFATTNING Nämndens granskning av Säkerhetspolisens behandling av personuppgifter i ett it-system för bearbetning och analys har inriktats på personuppgifter om barn, det vill säga personer under 18 år. Sammanlagt har personuppgifter om 15 barn granskats. Nämnden bedömer att personuppgiftsbehandlingen i de granskade ärendena har skett i enlighet med polisdatalagen och ser positivt på att nya interna bestämmelser har införts avseende gallring av uppgifter som rör barn. Med anledning av sina iakttagelser i ärendet rekommenderar nämnden dock Säkerhetspolisen att införa en automatisk påminnelse om gallring i it-systemet, samt att se över användningen av de särskilda upplysningarna om misstanke så att det tydligt framgår om det inte finns någon misstanke alls mot en person. Nämnden ser också skäl att kommentera de risker som den föråldrade regleringen avseende olovlig kårverksamhet innebär ur integritetssynpunkt. Postadress Telefon E-post Organisationsnummer Box 22523, 104 22 Stockholm 08-617 98 00 sakint@sakint.se 202100-5703 Besöksadress Telefax Webbplats Bankgiro Norr Mälarstrand 6, Stockholm 08-617 98 88 www.sakint.se 782-4329
2 Innehåll 1. SAMMANFATTNING... 1 2. BAKGRUND, AVGRÄNSNING OCH RÄTTSLIGA UTGÅNGSPUNKTER... 3 2.1. Inledning... 3 2.2. Uppgifter om barn i underrättelseverksamheten... 3 2.3. Avgränsning... 3 2.4. Rättsliga utgångspunkter... 4 3. UTREDNINGEN... 5 3.1. Genomförande... 5 3.2. Nämndens iakttagelser... 6 3.3. Säkerhetspolisens svar... 6 4. NÄMNDENS BEDÖMNING... 8 4.1. Uppgifterna behövs för verksamheten... 8 4.2. De känsliga personuppgifterna får behandlas... 8 4.3. Gallring... 8 4.4. Tydligt angivande när det inte finns någon misstanke alls... 9 4.5. Några kommentarer om olovlig kårverksamhet... 9 5. BESLUT... 10
3 2. BAKGRUND, AVGRÄNSNING OCH RÄTTSLIGA UTGÅNGSPUNKTER 2.1. Inledning Säkerhets- och integritetsskyddsnämnden har beslutat att under år 2015 granska hur uppgifter om barn 1 behandlas i Säkerhetspolisens och Polismyndighetens underrättelseverksamhet. Det nu aktuella ärendet är ett led i den granskningen. 2.2. Uppgifter om barn i underrättelseverksamheten I Säkerhetspolisens underrättelseverksamhet insamlas och bearbetas uppgifter som behövs för att förebygga, förhindra eller upptäcka brott inom Säkerhetspolisens verksamhetsområden. Inom Säkerhetspolisens underrättelseverksamhet går det normalt inte att urskilja lika tydliga kopplingar till konkreta brott eller till brottslig verksamhet som inom Polismyndigheten. Säkerhetspolisens underrättelseverksamhet befinner sig ofta på ett tidigare stadium än den som bedrivs inom Polismyndigheten. 2 Behandlingen av personuppgifter i Säkerhetspolisens underrättelseverksamhet är därför särskilt känslig ur ett integritetsperspektiv. Det finns inga särskilda bestämmelser i polisdatalagen (2010:361) (PDL) om behandlingen av uppgifter om barn. Det är samma bestämmelser som gäller vid behandlingen av uppgifter om en person oavsett hans eller hennes ålder. Uppgifter om barn får alltså behandlas i underrättelseverksamheten förutsatt att de allmänna krav som polisdatalagen ställer är uppfyllda. 2.3. Avgränsning Granskningen är begränsad till personuppgiftsbehandling som sker om barn inom Säkerhetspolisens verksamhetsgren författningsskydd. Inom ramen för författningsskyddet ska Säkerhetspolisen förebygga och avslöja verksamhet som med våld, hot eller tvång syftar till att förändra Sveriges demokratiska statsskick. Verksamheten syftar till att motverka otillåten påverkan mot det politiska beslutsfattandet, verkställandet av politiska beslut och den fria debatten. Otillåten påverkan innefattar exempelvis trakasserier, hot eller våld i syfte att påverka myndighetsutövning. Säkerhetspolisen kartlägger och motverkar även verksamheter som bedrivs i extremistmiljöer och som kan utgöra ett hot mot demokratin. Kartläggningen syftar till att få kunskap om brottslighet som riktar 1 Med barn menas i det här uttalandet en person under 18 år, i enlighet med definitionen i artikel 1 i FN:s konvention om barnets rättigheter. 2 Prop. 2009/10:85 s. 256.
4 sig mot Sveriges statsskick, samhällsviktiga funktioner och mot enskilda medborgares utövande av sina grundläggande fri- och rättigheter. 3 2.4. Rättsliga utgångspunkter Behov Allmänt En grundläggande förutsättning för att personuppgifter ska få behandlas enligt polisdatalagen är att de behövs i Säkerhetspolisens brottsbekämpande verksamhet, exempelvis i underrättelseverksamheten (6 kap. 1 1 PDL). Behovet ska vara konkret och svara mot något av de ändamål som anges i paragrafen. Ett av de ändamål som anges är brott mot rikets säkerhet (6 kap. 1 1 a PDL), det så kallade författningsskyddet. I denna verksamhet ska Säkerhetspolisen förebygga, förhindra och upptäcka sådan brottslighet som rör brott mot rikets säkerhet, bl.a. brott mot 18 och 19 kap. brottsbalken (3 första punkten förordningen [2014:1103] med instruktion för Säkerhetspolisen). Olovlig kårverksamhet Säkerhetspolisen behandlar bland annat uppgifter som rör brottet olovlig kårverksamhet (18 kap. 4 brottsbalken) inom ramen för författningsskyddet. Det brottet innebär att en person bildar eller deltager i sammanslutning, som måste anses vara avsedd att utgöra eller med hänsyn till sin beskaffenhet och det ändamål för vilket den är bildad lätt kan utvecklas till ett sådant maktmedel som militär trupp eller polisstyrka och som icke med vederbörligt tillstånd förstärker försvaret eller ordningsmakten, eller ock för sådan sammanslutning tager befattning med vapen, ammunition eller annan dylik utrustning, upplåter lokal eller mark för dess verksamhet eller understödjer den med penningar eller på annat sätt. Straffskalan är böter eller fängelse i högst två år. Gallring Insamlade uppgifter som det inte längre finns behov av ska gallras (6 kap. 6 första stycket PDL). Personuppgifter som har gjorts gemensamt tillgängliga ska i Säkerhetspolisens verksamhet gallras senast tio år efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes (6 kap. 12 första stycket PDL). Personuppgifter som behandlas i en uppgiftssamling som har skapats för att bearbeta och analysera information och som enbart särskilt angivna tjänstemän har åtkomst till ska dock gallras senast tre år efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes (6 kap. 12 andra stycket och 6 kap. 10 andra stycket 1 PDL). Särskild upplysning om misstanke Om en gemensamt tillgänglig uppgift avser en person som inte är misstänkt för brott, eller för att ha utövat eller komma att utöva brottslig verksamhet, ska det 3 SOU 2012:77 s. 61.
5 genom en särskild upplysning eller på något annat sätt framgå att personen inte är misstänkt (6 kap. 10 första stycket PDL). Kravet gäller endast om det inte finns några som helst misstankar mot den aktuella personen. Förekommer det någon form av misstanke vare sig det handlar om skälig misstanke eller om någon annan misstankegrad behöver någon tilläggsupplysning inte lämnas. 4 I förarbetena till polisdatalagen framhålls att det är av stor vikt för skyddet av den personliga integriteten att polisen behandlar personuppgifter på ett sådant sätt att det framgår om en person behandlas som misstänkt eller om behandlingen sker av någon annan anledning. 5 Som nämnden tidigare har uttalat väger intresset av ett sådant integritetsskydd särskilt tungt när personen i fråga är under 18 år. 6 Känsliga personuppgifter Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (känsliga personuppgifter) (6 kap. 4 4 och 2 kap. 10 första stycket PDL). Om uppgifter om en person behandlas på en annan grund får de dock kompletteras med känsliga personuppgifter när det är absolut nödvändigt för syftet med behandlingen (2 kap. 10 andra stycket PDL). Med hänsyn till den restriktivitet som ligger i begreppet absolut nödvändigt måste behovet av att göra sådana kompletteringar prövas noga i det enskilda ärendet. 7 3. UTREDNINGEN 3.1. Genomförande Nämnden har i maj 2015 genomfört en inspektion vid Säkerhetspolisen. Vid inspektionen granskades behandlingen av ett urval av personuppgifter om barn i ett it-system som används för bearbetning och analys av information och personuppgifter i Säkerhetspolisens underrättelseverksamhet. I systemet finns dels uppgifter under bearbetning och dels så kallad bedömd information. De granskade uppgifterna är av båda slagen. Granskningen omfattade uppgifter om 15 barn födda åren 1997 2004. Barnen var vid inspektionstillfället mellan 10 och 17 år. Efter inspektionen har Säkerhetspolisen skriftligen besvarat frågor om behandlingen av uppgifter i it-systemet i allmänhet och om åtta av de utvalda 4 Prop. 2009/10:85 s. 340. 5 A. prop. s. 149. 6 Nämndens uttalande Polismyndighetens behandling av personuppgifter i underrättelseverksamheten vid Polisregion Nord, dnr 31-2015. 7 A. prop. s. 325.
6 barnen i synnerhet. En sammanfattning av Säkerhetspolisens svar återges i avsnitt 3.3. 3.2. Nämndens iakttagelser De granskade uppgifterna handlade sammanfattningsvis om följande. Avseende vissa barn rörde behandlingen hotbildsbedömningar, exempelvis på grund av en förälders politiska engagemang. Andra behandlingar avsåg kopplingar till brottslighet som inneburit så kallad otillåten påverkan och kopplingar till kriminella mc-gäng. En behandling gällde ett barn som hotat att döda personer på en skola. I samtliga dessa fall angavs barnen som ej misstänkta. Några av barnen angavs ha kopplingar till vänster- eller högerextrema organisationer som av Säkerhetspolisen har bedömts utgöra sådana sammanslutningar som lätt kan komma att utvecklas till en sådan olovlig kår som anges i 18 kap. 4 brottsbalken. I vissa fall bestod kopplingen i att barnen deltagit i organisationerna. I dessa fall angavs barnen såsom misstänkta. I övriga fall utgjordes kopplingen av vissa slags kontakter med nämnda organisationer eller med personer med koppling till dessa. I dessa fall angavs barnen såsom ej misstänkta. I alla fall där känsliga personuppgifter förekommit (religion och politisk åskådning) har Säkerhetspolisen fattat särskilda beslut om behandlingen av dessa uppgifter. Vid inspektionen framkom vidare att det inte alltid sätts en gallringsfrist för de uppgifter under bearbetning som automatiskt har överförts från Säkerhetspolisens ärendehanteringssystem. Det framkom även att det inte finns någon automatisk påminnelse om gallring för dessa uppgifter. De granskade personuppgifterna har som längst behandlats i uppgiftssamlingen sedan december 2013, det vill säga vid inspektionstillfället i cirka ett och ett halvt år. 3.3. Säkerhetspolisens svar Säkerhetspolisen har i ett remissvar beskrivit bland annat hur gallring fungerar i it-systemet och redogjort för behandlingen av uppgifter avseende åtta av barnen. I det följande återges en sammanfattning av svaret. Av sekretesskäl är sammanfattningen bitvis mycket kortfattad.
7 Behovet av uppgifterna Säkerhetspolisen har utvecklat skälen för att uppgifterna om barnen i fråga behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar brott mot rikets säkerhet, det vill säga inom verksamhetsgrenen författningsskydd. När det gäller behovet av uppgifter om barn som har kopplingar till sammanslutningar som lätt kan komma att utvecklas till olovlig kårverksamhet enligt 18 kap. 4 BrB har Säkerhetspolisen bland annat anfört att visst slags deltagande i sådana organisationer medför att personen kan misstänkas för olovlig kårverksamhet. Avseende behovet av uppgifterna om barn som har kopplingar till olovlig påverkan av annat slag har Säkerhetspolisen, med hänvisning till förarbetena till polisdatalagen, anfört att den allmänt sett inom författningsskyddsverksamheten har behov av att samla in, sammanställa och analysera uppgifter även om uppgifterna inte kan hänföras till något visst konkret brott eller någon mer konkret brottslig verksamhet. Detta kan aktualiseras till exempel när Säkerhetspolisen behöver kartlägga hot som riktar sig mot vissa grupper i samhället och fortlöpande följa hotbilden mot vissa myndigheter och organ. Gallring Ansvariga för registervården i den del av it-systemet som innehåller uppgifter under bearbetning kan ta reda på när uppgifterna registrerades. Därmed kan de sortera ut de uppgifter som ska gallras senast vid utgången av kalenderåret och på så sätt säkerställs att dokumenten gallras i rätt tid. Det finns inget behov av någon automatisk påminnelse om gallring, eller att den senaste gallringstidpunkten är uttryckligen angiven i it-systemet. Det pågår för närvarande ett utvecklingsarbete som kommer att påverka gallringsmetodiken. Från och med den 1 juni 2015 gäller nya interna bestämmelser som innebär att särskilda gallringsregler gäller för uppgifter om personer som överförts till itsystemet från Centralregistret, om personen vid den senaste registreringen ännu inte fyllt 18 år. Misstankemärkningar Säkerhetspolisen har utvecklat skälen för vissa av barnens misstankemärkningar och har uppgett att bedömningarna är korrekta. I de fall som misstanken avser olovlig kårverksamhet på grund av deltagande i en organisation som Säkerhetspolisen bedömt utgöra en sådan sammanslutning har barnen angetts som misstänkta. I det fall då barnet angetts som ej misstänkt, har barnet endast haft viss kontakt med organisationen. En sådan kontakt medför inte att barnet kan misstänkas för olovlig kårverksamhet.
8 4. NÄMNDENS BEDÖMNING 4.1. Uppgifterna behövs för verksamheten Nämnden bedömer att uppgifterna om samtliga barn behövs för ändamålet författningsskydd. Mot bakgrund av vad som framkommit vid granskningen och med beaktande av vad Säkerhetspolisen anfört har nämnden ingen anledning att ifrågasätta behovet av uppgifterna för att kunna kartlägga företeelser inom författningsskyddet. Detta gäller särskilt mot bakgrund av att uppgifterna är förhållandevis nya. 4.2. De känsliga personuppgifterna får behandlas Nämnden bedömer att behandlingen av känsliga personuppgifter har skett lagenligt. Beträffande åtta personer förekom känsliga personuppgifter om religion och politisk åskådning. Säkerhetspolisen har i samtliga dessa fall fattat särskilda beslut om behandlingen av sådana uppgifter. Nämnden bedömer att behandlingen av de känsliga personuppgifterna har varit absolut nödvändig för syftet med behandlingen. 4.3. Gallring Nämnden har inte iakttagit några uppgifter som borde ha varit gallrade. Säkerhetspolisen bör överväga att i det aktuella it-systemet införa en automatisk påminnelse om gallring för personuppgifter som är under bearbetning. Nämnden ser positivt på att Säkerhetspolisen infört nya interna bestämmelser om kortare gallringsfrist för uppgifter om barn. De senast registrerade uppgifterna om respektive barn är relativt nya och nämnden har inte funnit att någon uppgift borde ha gallrats. Som nämnts ovan finns inte någon automatisk påminnelse om gallring för personuppgifter som är under bearbetning. Nämnden anser att det inte är tillfredsställande att sökningar måste göras manuellt för att gallring ska ske. Säkerhetspolisen har uppgett att det pågår ett internt arbete som kommer att påverka gallringsmetodiken. Nämnden anser att Säkerhetspolisen under detta arbete bör överväga att införa en automatiserad gallringspåminnelse i det aktuella itsystemet.
9 Nämnden ser positivt på att Säkerhetspolisen sedan inspektionen genomfördes har infört nya interna bestämmelser om gallring av personuppgifter om barn som överförts från Centralregistret till det här aktuella it-systemet. Bestämmelserna innebär kortare gallringsfrister än vad som annars gäller. 4.4. Tydligt angivande när det inte finns någon misstanke alls Nämnden rekommenderar Säkerhetspolisen att se över användningen av de särskilda upplysningarna om misstanke så att det tydligare framgår att det inte finns någon misstanke alls mot en person. Av Säkerhetspolisens särskilda upplysningar framgår antingen att barnet är misstänkt eller inte är misstänkt. Nämnden anser att denna ordning uppfyller de krav på upplysningar som polisdatalagen ställer, förutsatt att upplysningarna används enhetligt. I några fall anser nämnden dock att upplysningarna inte använts enhetligt. I vissa fall har barnet angetts som ej misstänkt trots att det framgår att barnet misstänks för att ha utövat viss brottslighet eller att det framstår som att barnet misstänks för att det kan komma att utöva brottslig verksamhet. Nämnden har i och för sig inget emot att Säkerhetspolisen iakttar försiktighet när det gäller att utpeka personer som misstänkta för brott. Det är emellertid olyckligt om den särskilda upplysningen inte ger något tydligt svar på frågan om huruvida en person inte alls är misstänkt. Nämnden rekommenderar därför Säkerhetspolisen att se över sina rutiner i nu aktuella avseenden. 4.5. Några kommentarer om olovlig kårverksamhet Avslutningsvis vill nämnden kommentera straffbestämmelsen om olovlig kårverksamhet i 18 kap. 4 brottsbalken. Nämnden riktar ingen kritik mot Säkerhetpolisens tillämpning av bestämmelsen i de granskade fallen och ifrågasätter inte Säkerhetspolisens behov av att behandla uppgifter om personer som förekommer i extrempolitiska miljöer. Den ålderdomligt utformade paragrafen ger dock utrymme för olika tolkningar av det straffbara området. Bristen på domstolspraxis gör att det i princip är Säkerhetspolisens tolkning av bestämmelsen som blir normerande för vad som kan sägas utgöra olovlig kårverksamhet och därmed vilka organisationer eller motsvarande som träffas av rekvisiten i straffbestämmelsen. Det är en högst otillfredsställande ordning som hos allmänheten kan leda till misstankar om åsiktsregistrering. Nämnden anser att det vore av värde att bestämmelsen blir föremål för en översyn.
10 5. BESLUT Med detta uttalande avslutas ärendet. På Säkerhets- och integritetsskyddsnämndens vägnar Sigurd Heuman I avgörandet har deltagit: Sigurd Heuman (ordförande), Barbro Thorblad, Cecilia Dalman Eek, Linnéa Darell, Berit Jóhannesson, Zayera Khan, Mats Sander och Jonas Åkerlund (enhälligt). Föredragande: Elisabeth Hedborg Expedition till: Justitiedepartementet Säkerhetspolisen Kopia för kännedom till: Datainspektionen